Passwortrichtlinie

Prüfe die lokale Kennwort- und Sperrrichtlinie deiner Windows-Geräte gegen deine Mindestanforderungen.

Der Check Passwortrichtlinie prüft die lokale Kennwort- und Sperrrichtlinie auf Windows-Geräten und warnt, wenn eine Einstellung die konfigurierten Sicherheitsschwellenwerte nicht erfüllt. So erkennst du Maschinen mit schwachen Kennwortrichtlinien — besonders Server, die ohne Gruppenrichtlinie eingerichtet wurden. Der Check läuft nur unter Windows, alle 1440 Minuten (täglich); das Intervall ist durch die Check-Definition festgelegt und nicht konfigurierbar.

Voraussetzungen

Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
Das Zielgerät muss unter Windows laufen und einen verbundenen Agent haben. Der Agent läuft als Local System und hat damit den Zugriff, den der Check zum Lesen der Richtlinie benötigt. Auf dem Gerät ist nichts einzurichten.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → Passwortrichtlinie.
Konfiguriere die Sicherheitsanforderungen. Passe die Schwellenwerte an die Sicherheitsstandards oder Compliance-Anforderungen deiner Organisation an.
Klicke auf Check hinzufügen.

Nach dem ersten Lauf erscheint das Ergebnis im Tab Checks des Geräts.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Mindestpasswortlänge	Ganzzahl	Nein	12	Mindestanzahl der von der Richtlinie geforderten Zeichen; Warnung, wenn die Richtlinie weniger Zeichen erfordert
Maximales Passwortalter (Tage)	Ganzzahl	Nein	90	Maximale Tage bis zum Passwortablauf; Warnung, wenn Kennwörter länger gültig sein dürfen
Maximaler Sperrschwellenwert	Ganzzahl	Nein	5	Warnt, wenn der Sperrschwellenwert mehr fehlgeschlagene Versuche zulässt als dieser Wert (oder wenn die Kontosperrung vollständig deaktiviert ist). Dies ist eine Obergrenze für zulässige Versuche, kein Mindestwert.
Passwortverlauf erforderlich	Boolean	Nein	Ja	Erfordert, dass die Richtlinie den Passwortverlauf erzwingt

Legt die Richtlinie fest, dass Kennwörter nie ablaufen, meldet der Check für Maximales Passwortalter (Tage) kein Problem. In der Richtlinienübersicht steht bei Max. Alter (Tage) dann -1. Prüfe diese Einstellung bei Bedarf selbst.

Ergebnisse

Der Check prüft die Richtlinieneinstellungen auf dem Gerät und sagt dir damit, ob die Richtlinie selbst deinen Standards entspricht. Einzelne Benutzerkennwörter werden dabei nie ausgelesen. Er liest die lokale Kennwort- und Sperrrichtlinie direkt aus Windows. Auf domänenbeigetretenen Maschinen kann die wirksame Richtlinie aus der Gruppenrichtlinie stammen; eigenständige Maschinen verwenden die lokale Sicherheitsrichtlinie.

Der Check erfasst:

Passwortlänge (geforderte Mindestanzahl an Zeichen)
Max. Alter (Tage bis zum Passwortablauf)
Sperrschwelle (zulässige fehlgeschlagene Versuche vor der Sperrung) — wird als Deaktiviert angezeigt, wenn die Kontosperrung ausgeschaltet ist
Sperrdauer (Minuten)
Verlaufslänge (Anzahl der gespeicherten vorherigen Passwörter) — wird als Keiner angezeigt, wenn kein Verlauf gespeichert wird

Erkannte Probleme

Für jede Richtlinieneinstellung, die die konfigurierten Schwellenwerte nicht erfüllt, gibt der Check eine Problemzeile mit den folgenden Feldern aus:

Feld	Typ	Beschreibung	Beispiel
Einstellung	String	Welche Richtlinieneinstellung nicht erfüllt wurde. Einer der Werte `Mindestpasswortlänge`, `Maximales Passwortalter`, `Sperrschwellenwert` oder `Passwortverlauf`.	Mindestpasswortlänge
Aktueller Wert	String	Der Wert, der aus der lokalen Sicherheitsrichtlinie gelesen wurde. Die Passwortlänge ist eine reine Zahl; Alters- und Sperrwerte tragen ihre Einheit (`120 Tage`, `10 Versuche`). Eine ausgeschaltete Kontosperrung meldet stattdessen `Deaktiviert`, ein fehlender Passwortverlauf `Keiner`.	8
Erwarteter Wert	String	Der vom Check geforderte Schwellenwert, geschrieben als Vergleich — `>= 12` für die Passwortlänge, `<= 90 Tage` für das Passwortalter, `<= 5 Versuche` für den Sperrschwellenwert und `Aktiviert (> 0)` für den Passwortverlauf.	>= 12
Status	Enum	Das dem Problem zugewiesene Ergebnis. Jedes Richtlinienproblem, das dieser Check meldet, ist eine Warnung; er stuft einen Richtlinienbefund nicht von sich aus auf Kritisch hoch. Lässt sich die Richtlinie gar nicht lesen, meldet der Lauf Fehler, und es werden keine Problemzeilen erzeugt.	Warnung

Ergebnisansichten

Das Check-Ergebnis wird in zwei Ansichten dargestellt. Die Ansicht Detail zeigt den letzten Lauf: einen Block Richtlinienübersicht mit Passwortlänge, Max. Alter (Tage), Sperrschwelle, Sperrdauer (Min.) und Verlaufslänge, gefolgt von einer Karte pro Problem mit Status-Badge sowie aktuellem und erwartetem Wert. Erfüllen alle Einstellungen die Anforderungen, teilt die Ansicht das mit, statt Probleme aufzulisten.

Die Ansicht Verlauf führt einen Datensatz pro Lauf, damit du die Richtlinie im Zeitverlauf nachvollziehen kannst. Check-Ergebnisse werden standardmäßig 30 Tage lang aufbewahrt. Sie listet jeden aufgezeichneten Lauf mit den folgenden Spalten:

Spalte	Quellfeld	Beschreibung
Zeit	`executedAt`	Zeitstempel des Laufs
Status	`checkResult`	Gesamtergebnis des Laufs, dargestellt als Badge OK / Warnung / Kritisch / Fehler
Probleme	`issues`	Die in diesem Lauf beanstandeten Einstellungen, jeweils als Chip aus Einstellungsname sowie aktuellem und erwartetem Wert. Es werden höchstens drei Chips gezeigt; die übrigen fasst ein Chip `+N weitere` zusammen. Ein sauberer Lauf zeigt Keine Probleme.

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen